近日，微软称伊朗网络间谍组织 APT33 正在利用 FalseFont 后门恶意软件攻击全球国防工业基地。

据观察，伊朗民族国家黑客Peach Sandstorm 曾试图向国防工业基地（DIB）部门的组织员工发送名为 FalseFont 的开发后门。此类攻击针对的目标包括 10 万多家参与研究和开发军事武器系统、子系统和组件的国防公司和分包商。

该黑客组织又名 Peach Sandstorm\HOLMIUM \Refined Kitten，自 2013 年起就活动频繁。他们的攻击目标横跨美国、沙特阿拉伯和韩国的多个行业领域，还包括政府、国防、研究、金融和工程等垂直行业。

此次微软公布的FalseFont是该组织最新行动中部署的自定义后门，它为操作员提供了远程访问被入侵系统、执行文件和向其指挥控制（C2）服务器传输文件的功能。

微软方面表示，这个后门是在今年 11 月初首次在野外被发现。

Redmond表示：FalseFont的相关威胁行动与微软在过去一年中观察到的Peach Sandstorm活动一致，这表明Peach Sandstorm的技术在持续精进。他建议各组织机构重置密码、撤销会话cookie，并使用多因素身份验证（MFA）确保账户和RDP或Windows虚拟桌面端点的安全，从而减少 APT33 黑客的攻击面。

遭受攻击的国防承包商

今年 9 月，微软曾发布警告声明称自 2 月以来，APT33 威胁组织针对全球数以千计的组织（包括国防部门）发起了大范围的密码喷射攻击。

据微软威胁情报团队称：2023 年 2 月至 7 月间，Peach Sandstorm 发起了一波密码喷射攻击，试图对数千个环境进行身份验证。

在2023年一整年，Peach Sandstorm一直展现出对美国和其他国家的卫星、国防部门组织以及制药部门的兴趣。一旦发起攻击极易导致国防、卫星和制药领域的数据泄露。

微软威胁情报中心（MSTIC）的研究人员还发现了另一个与伊朗有关的黑客组织，名为DEV-0343。微软2012年10月的一份报告显示，该组织两年前也曾攻击过美国和以色列的国防科技公司。

参考来源：Microsoft: Hackers target defense firms with new FalseFont malware